40分钟攻击暴露2500+企业：2026年3月LiteLLM供应链入侵完整时间线

TeamPCP利用窃取的PyPI发布凭证直接将这些版本推送至PyPI，绕过了LiteLLM正常的基于GitHub的发布流程 。在同一窗口期内，该组织还压缩了其他恶意活动，包括涂改15个组织仓库、清空182个个人仓库，并将70个BerriAI（LiteLLM的母公司）私有仓库设为公开 。

攻击是如何运作的：一次级联供应链入侵

这次攻击是级联供应链入侵的教科书式案例。TeamPCP并未直接攻击LiteLLM，而是利用了一条信任链：

1. 第一步入侵：Trivy – 3月19日，TeamPCP利用一个虽然已轮换但未被完全撤销的凭证，获得了Trivy GitHub Actions流水线的访问权限 。他们发布了恶意的Trivy版本，将凭证窃取载荷注入到任何安装了该被投毒扫描器的CI/CD运行环境中。
2. 第二步入侵：LiteLLM – LiteLLM自身的CI/CD流水线将Trivy安全扫描器作为安全步骤自动安装。当流水线于3月24日运行时，它拉取到了被投毒的Trivy版本。Trivy内部的恶意载荷扫描了CI运行环境，窃取了LiteLLM的PyPI发布令牌和GitHub凭证 。
3. 第三步入侵：PyPI用户 – 获得了LiteLLM的PyPI凭证后，TeamPCP将恶意的LiteLLM版本推送至PyPI。任何开发者或组织若运行

   pip install litellm==1.82.7

   或1.82.8——或者其CI/CD流水线自动拉取了最新版本——其构建环境中的机密信息都会被一扫而光。

正如CloudSEK所指出的，“攻击源自LiteLLM CI/CD安全扫描流程中使用的Trivy依赖” 。此次LiteLLM入侵本身没有对应的CVE编号，因为LiteLLM自身代码并无漏洞；漏洞在于LiteLLM构建流水线与其安全扫描工具之间的信任关系 。

数据窃取的规模

直到五个月后，多家威胁情报公司发布分析报告时，数据失窃的完整规模才得以清晰展现：

• Hudson Rock 独立获取并分析了攻击者的原始外传档案：一个153GB的RAR文件，包含433,909个文件和118,829个CI运行环境快照，归属于2,488个企业域名 。
• CloudSEK 重建了大约434,000个被捕获的CI/CD流水线文件，并识别出超过2,500家可能被暴露的组织 。CloudSEK将此事件描述为2026年迄今针对AI基础设施的最大规模供应链攻击 。
• 被泄露的数据包括云平台凭证（AWS、GCP、Azure）、AI提供商API密钥（OpenAI、Anthropic、Cohere等）、SSH私钥、Kubernetes服务账户令牌、Docker仓库登录信息、.env文件、数据库连接字符串、Slack签名密钥、Salesforce客户端密钥以及Git凭证 。

FBI于2026年7月2日发布了一份闪电信令（FLASH-20260702-01），警告相关行为体很可能在初始入侵后很长一段时间内，利用TeamPCP行动中被窃取的凭证进行恶意活动。它告知各组织应轮换在相关暴露窗口期内可访问的CI/CD机密、发布令牌和云凭证 。

受影响的组织

被暴露的域名涵盖了科技、金融、工业和电信领域的众多大型企业。以下为多个来源确认的组织名单 ：

• 科技： 亚马逊（AWS）、微软、英伟达、思科系统、三星电子、Salesforce、ServiceNow、X Corp（前身为Twitter）、Zscaler、Roku、Epic Games
• 工业： 大众汽车、西门子、联邦快递
• 金融： S&P Global、德勤
• 电信： BT集团、沃达丰

CloudSEK的数据集包含了与这些组织相关的企业域名、仓库、凭证或基础设施的“高置信度匹配” 。Hudson Rock指出，在该事件发生数月后，该档案中仍包含许多这些组织的“仍然有效”的凭证 。

Kevin Beaumont的事后验证测试

在入侵事件发生五个月后，独立安全研究员Kevin Beaumont进行了一次关键的现实核查。在Ars Technica关于该事件的报道发布后，Beaumont测试了一家声称已“轮换了一切”的美国大型科技公司泄露的凭证。采用负责任披露政策，他测试了这些凭证，结果发现**“几乎每一个都还能用”**——这意味着该组织尽管公开声明了，但实际上并未轮换其被泄露的机密信息 。

这一发现突出了一个关键教训：关于凭证轮换的声明与实际进行凭证轮换往往是两回事，而从此次攻击中窃取的凭证仍然是一个活生生的威胁。

紧急建议

将LiteLLM 1.82.7或1.82.8版本能够访问的所有机密信息、API密钥、云凭证、SSH密钥、Kubernetes配置以及任何其他敏感数据视为已完全泄露。 立即轮换所有可能在2026年3月24日窗口期内被暴露的凭证至关重要——无论您的组织是否认为已经轮换过 。

本次攻击被认为是2026年最大规模的AI基础设施供应链入侵，并且正如Beaumont的凭证测试所证明的那样，被盗数据对于后续入侵而言仍然是一个持续存在的威胁 。FBI已警告后续攻击很可能发生，而那153GB档案中的海量有效凭证对于威胁行为体而言是一份源源不断的大礼。

如果您的组织在2026年3月24日以任何方式使用了LiteLLM，请假定已被入侵。请检查是否存在恶意的.pth文件（litellm_init.pth）以及持久化后门（~/.config/sysmon/sysmon.py），使用

pip show litellm